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Prufungsantrag gem. § 44 PatG ist gestellt 

(g) Vorrichtung und Verfahren zur Kopplung von redundanten elektronischen Schaltungen uber redundante Busse 

ohne Fehlerfortpflanzung 
(§7) Die Erfindung bezieht sich auf eine Vorrichtung und ein 

Verfahren zur Kopplung von redundanten elektronischen 

Schaltungen, mit der bei Ausfall eines oder mehrerer 

Bauteile die Funktionalitat des Gesamtgerats garantiert 

erhalten bleibt und kein Folgefehler entsteht. Es werden 

auch Mehrfachfehler kompensiert, solange sie unter- 

schiedlichen Typs sind. Dazu weist die Vorrichtung einen 

Haupt- und einen Redundant-Zweig auf, die jeweils alle 

Module umfassen und uber einen Bus untereinander 

kommunizieren konnen. Die einzelnen Module jedes 

Zweigs sind mit eigenen Stromversorgungen verbunden. 

Bei Ausfall eines Moduls im Haupt-Zweig wird seine 

Funktion vom entsprechenden Modul im Redundant- 
Zweig ubernommen. Bei Fehlern auf beiden redundanten 
i Modulen konnen diese auch kompensiert werden, sofern 
i nicht die identische Funktion der Module von den Fehlern 
' betroffen ist. 
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Die Erfindung bezieht sich auf eine Vorrichtung und ein 
Vcrfahren 7.ur Kopplung von redundanten elektronischen 
Schaltungen uber Mehrfachbussysteme. 

Damil isles moglich, zwei Gerate in ein Gerat zu integrie- 
ren, wobci das entstandene Produkt nicht nur auf Geratee- 
bene redundant isu sondern die einzelnen Funktionsblocke 
eines Gerates sind von jedem Gerat ansprechbar, was die 
Verfugbarkeit des Gesamten erhoht verglichen mil zwei iso- 
lierten Geraten. 

Die Redundanz - das Vorhandensein eines funktional 
identischen Gerates - wird benotigt, um den Ausfall eines 
elektronischen Bauteils zu kornpensieren, d. h. ein solcher 
Ausfall darf nur zum Verlust des betroffenen Gerates fuhren, 
nicht aber auch zum Verlust des redundanten Gerates. Dies 
ist besonders beim Einsatz in der Raumfahrt, ebenso aber 
auch bci sichcrhcitskritischcn Anwcndungcn notwcndig. 

Es sind zwar bereits Mehrfachbussysteme wie auch 
Mehrrechnersysteme - redundante Rechnersysteme - be- 
kannt, beispielsweise aus der DE 33 38 341 und der 
DE 33 28 405, jedoch ist dort eine Realisierung der Koppel- 
einheiten in Bezug auf Fehlertoleranz sowie Unterdriickung 
der Fehlerfortpflanzung nicht ersichtlich. So ist in der 
DE 33 38 341 die Verbindung der Koppler untereinander 
eine Quelle fur einen Einzelfehler (auch single point failure 
genannt), der zu einem Totalausfall des Gesamlgerats fiihren 
kann. Auch die cinfache Entkopplung der Busse mit nur ei- 
nem Treiberbaustein ist zur Verhinderung einer Fehlerfort- 
pflanzung nicht ausreichend, d. h. ein KurzschluB in einem 
Koppler bewirkt einen Betrieb des nachsten Kopplers auBer- 
halb der Bauteilespezifikation. 

In der Raumfahrt werden besonders CMOS-Logikfami- 
lien wegen der geringen Leistungsaufnahme eingesetzt. 
Doch bei der CMOS-Technik ergibt sich das Problem der 
parasitaren Dioden an den Ein- und Ausgangen. Bei einer 
ausgeschalteten Versorgungsspannung leiten diese Dioden 
auBen anliegende Signale niederohmig ab, eine einfache Zu- 
sammenschaltung zu einem Bussystem ist nicht fehlerfort- 
pflanzungsfrei. 

Im US-Patent 5 117 129 ist eine Methode beschrieben, 
wie diese parasitaren Dioden umgangen werden konnen. 
Dies erfordert aber eine Andening der integrierten Schaltun- 
gen in der beschriebenen Weise. Diese integrierten Schal- 
tungen sind jedoch nur von einem Hersteller beziehbar (so- 
mit ist keine zweite Beschaffungsquelle vorhanden) und 
aufgrund der speziellen Entwicklung ergibt sich ein hoher 
Preis und eine schlechte Verfugbarkeit. Auch wird in der 
US 5 117 129 auf eine mogliche Fehlerfortpflanzung bei 
Defekt der Koppelschaltung selbst nicht eingegangen. 

Daher ist es Aufgabe der vorliegenden Erfindung, eine 
Vorrichtung und ein Verfahren zur Kopplung von redundan- 
ten elektronischen Schaltungen uber Mehrfachbussysteme 
auszubilden, bei dem bei Ausfall eines einzigen Bauteils die 
Funktionalitat des Gesamtgerats garanuen erhalten bleibt 
und kein Folgefehler entsteht. 

ErfindungsgemaB wird diese Aufgabe durch die im Pa- 
tentanspruch 1 bzw. 1 1 angegebenen Merkmale gelost. Wei- 
tere vorteilhafte Ausgestaltungen und Weiterbildungen der 
Erfindung werden in den Unteranspriichen angegeben. 

Weitere Aufgaben, Merkmale und Vorteile der vorliegen- 
den Erfindung werden aus der nachfolgenden Beschreibung 
eines bevorzugten Ausfuhrungsbeispieis in Verbindung mit 
der Zeichnung ofTensichtlich. 
Es zcigcn: 

Fig. 1 eine Gesamtkonfiguration des redundanten Rech- 
ners. 

Fig. 2 den grundsatzlichen Aufbau von Master-Modulen, 



Pig. 3 den grundsatzlichen Autbau von Local Bussen fur 
Slave-Module, 

Pig. 4 den Autbau eines Kopplers fur den Bus-Master, 
Fig. 5 und 6 den Aufbau des Kopplers fur ein heiB bzw. 
5 kalt redundantes Modul und 

Pig. 7 und 8 einen Buszyklus (Inter Module Bus Cycle). 
Die vorliegendc Erfindung berucksichtigt alle relevanten 
Raumfahrtanforderungen zum Betrieb eines redundanten 
Rechnersystems. Die wichtigste Aufgabe ist die Abdeckung 
to von Einzelfehlem, die in kcinem Fall zu einer Fehlerfort- 
pflanzung fuhren diirfen. Die Erfindung deckt aber auch 
Mehrfachfehler ab, sofem sie unterschiedlichen Typs sind. 

In Fig. 1 ist die Gesamtkonfiguration des redundanten 
Rechners dargestellt. Der Rechner beinhaltet jede elektri- 
15 sche Schaltungsfunktion (kurz Modul genannt) doppelt wie 
auch das Bussvstem, genannt Local Bus, wobei man von ei- 
nem Haupt- bzw. Main(M)-Zweig (alle Main(M)-Module 
und Local-Bus-Main) und cincm Rcdundant(R)-Zwcig (alle 
Redundant(R)-Module und Local-Bus-Redundant) spricht. 
20 Uber die Busse konnen alle Module kommunizieren, also 
das Prozessor-Modul-Main mit z. B. Reconfiguration-Mo- 
dul-Redundant, wobei der Transfer sowohl uber den Local- 
Bus-Main als auch uber den Local-Bus-Redundant abge- 
wickelt werden kann. Somit erzielt man eine weit hohere 
25 Verfugbarkeit als mit einem redundanten Rechnersysiem be- 
stehend aus zwei einzelnen Rechnern. 

Bei Einzelrechnem fuhrt ein Einzelfehler bereits zu ei- 
nem Ausfall des betroffenen Rechners. In der hier beschrie- 
benen erfindungsgemaBen Konfiguration fuhrt ein Fehler ei- 
30 nes Moduls zu dessen Nichtverwendbarkeit, die anderen 
Module des Zweigs bleiben verfugbar, was zu einer hoheren 
Gesamtzuverlassigkeit fuhrt (die Zuverlassigkeit eines Sy- 
stems steigt je mehr Funktionen parallel verfugbar sind). 
Die einzelnen Module sind je nach TyP heiB*redundant, 
35 d. h. die Versorgungsspannung ist irnmer anliegend, oder 
kalt-redundant, d. h. nur ein Modul des selben Typs ist aktiv. 
HeiB- redundante Module sind die beiden SGM-Speicher- 
module, in die die aktuellen Systemdaten redundant abge- 
legt werden konnen, damit diese Daten auch sicher zur Ver- 
40 fugung stehen. Beim Rucklesen der Daten werden diese auf 
ihre Plausibilitat gepruft und, wenn nodg, die redundanten 
Datensatze verwendet. Bei den kalt-redundanten Modulen 
wird im FehlerfaU das zuvor aktive Modul ausgeschaltet 
und das andere typgleiche Modul eingeschaltet. Zur Vermei- 
45 dung einer Fehlerfortpflanzung besitzt jedes Modul bzw. 
beim Neubildungs-ModuiySicherungs-Speicher-Modul (Re- 
configuration-Modul/Safeguard-Memory-Modul=RM/ 
SGM) jede Modulgruppe eine eigene Stromversorgung. 
Diese Versorgungen sind mit Strombegrenzungen ausgestat- 
50 tet, ein Fehler wie z. B. KurzschluB der Ausgangsspannung 
wirkt sich elektrisch und thermisch nicht negativ auf die an- 
deren Module aus. 

Ein Fehler in einem Stromversorgungseingang wird 
durch Verwendung von zwei Versorgungszweigen 
55 POWER1 (fur den Main-Zweig) und POWER2 (fur den 
Redundant-Zweig) abgedeckt. Die Sicherungs-Speicher- 
Module SGM sind zur Datenerhaltung zusatzlich mit den 
separaten Versorgungszweigen SAFELINE1 bis SAFE- 
TXNH4 abgesichert. 
60 In dem in Fig. 1 beschriebenen Rechner sind die Prozes- 
sor-Module (PM) die Master-Einheiten zur Steuerung der 
Local-Busse, alle anderen Module sind Slave-Einheiten. 
Der Zugriff sowie oje gesamte zeitliche Steuerung wird von 
dem jeweils aktiven Prozessor-Modul PM durchgefuhrt. Die 
65 Local-Bus- Koppler cincs Zwcigcs (Main bzw. Redundant) 
alier Module sind ebenfalls mit eigenen Stromversorgungen 
verbunden, die jedoch mit der Stromversorgung des Prozes- 
sor-Modules PM ein- und ausgeschaltet werden. Diese Nut- 
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zung eines gemcinsamen Primarteils ist nicht zwingend not- 
wendig, fuhrt aber zu einer Verringerung des Aufwandcs 
vcrglichen mil einer kompictt eigenstandigen Strom versor- 

Die Gcsanitkonfiguration des Rechners umtaBt zusatzhch 
zu den vorstehend beschriebenen ModuLen Urn wandler- Mo- 
dule Converter(CV)-Module), Local Bus Interfaces (LB UF) 
bzw. Local Bus Schnittstellen, Telemetrie/Fernbefehl TT&c 
(TM/TC)- Interfaces bzw. -Schnittstellen. Aktuatoren lie fern 
Eingangssignale fur den Rechner von Infrarot-Erd-Sensoren 
(IRES), Pnizisions-Sonnensensor-Elektronik (PSSE), Rii- 
dern sowie Miniatur-Intertial-MeBeinrichtungen (MIMU) 
und vercinheitlichter Antriebs-System-Elektronik (UPS-E). 
Den Umwandler-Modulen (CV-Modulen), die mit den SA- 
FELINES 1, 2 bzw. 3, 4 und/oder dem Versorgungszweig 
POWER1 bzw. POWER2 verbunden sind, werden Befehle 
hoher Prioritat HPC1 bzw. HPC2 zugefuhrt. Dem Neubil- 
dungs(RM)-Modul wcrdcn Systcmalarmc sowic Korrcktur- 
triebwerk-Einschaltzeit-Alarme ("Thruster on-time alarms") 
zugefuhrt. 

Fig. 2 beschreibt den grundsatzlichen Aufbau fur die Ma- 
ster-Module. Die beiden Local-Busse werden mit den sepa- 
raten Stromversorgungen Ausgang A bzw. Ausgang B des 
momentan aktiven Prozessor-Modules gespeist (wird von 
Ausgang C versorgl), wobei iiber die Dioden eine Ruckver- 
sorgung der Strom versorgungen ausgeschlossen ist. Die 
Strornversorgungen A und B sind selbst tolerant gegenuber 
Ruckversorgung. die Dioden verhindem eine Fehlerfort- 
pflanzung bei einem KurzschluB in der Stromversorgung A 
oder B. Die beiden Koppler werden iiber die Auswahllogik 
gewahlt, der aktive Koppler fiihrt die Bussequenzen durch, 
die vom Prozessor und der Ablaufsteuerung vorgegeben 
werden. 

In Fig. 3 ist der grundsatzliche Aufbau der Local-Busse 
fur die Slave-Module beschrieben. Die beiden Busse sind 
auch hier unabhangig voneinander. Jeder Bus ist mit einem 
Buskoppler ausgestattet, dessen Eigenschaft es ist, die kom- 
plette elektrische Trennung zwischen den Bussen und den 
Modulen durchzufuhren. Dies wird durch separate Strorn- 
versorgungen sowohl fur die Local-Busse als auch fur die 
einzelnen Module sowie eine Entkopplung der Signallei tun- 
gen vom Modul zu den Bussen erreicht. 

In den Fig. 4 bis 6 sind Schaltungen im Detail dargestellt. 
Es ist die Anbindung des Masters (Prozessor- Modul PM)) 
sowie eines heiB redundanten Modules (Sicherungs-Spei- 
cher-ModuI SGM) und eines kalt redundanten Moduls 
(Neubildungs-Modul RM) stellvertretend dargestellt. 

Fig. 4 zeigt den Aufbau eines Kopplers fur den Bus-Ma- 
ster. Der Bus-Master kann jedoch mehrere Buskoppler be- 
dienen. Die elektrische Trennung des Moduls zu einem Bus 
wird fur die Signale mit Serienwiderstanden erreicht. Diese 
Serienwiderstande sind so dimensioniert, daB sie einerseits 
entsprechend niederohmig fiir dynamische Bussignale sind, 
andererseits den Treiber im Fehlerfall innerhalb seiner spe- 
zifizierten Werte halten und damit eine Fehlerfortpflanzung 
verhindert wird. Die TrennLinie der verschiedenen Versor- 
gungsspannungen befindet sich bei R2, R4, Dl, R5, R7, R8, 
R12. An dieser Linie wird eine Fehlerfortpflanzung verhin- 
dert. Wenn kein Buszugriff erfolgt, befinden sich die Steuer- 
signale fiir die Buskoppler auf niedrigem Pegel. Fiir den Bu- 
skoppler ist es kein Unterschied, ob ein Modul inaktiv oder 
ausgeschaltet ist. Uber die Inverter IC3 und IC4 wird der 
Local-Bus fur das aktive Prozessor-Modul PM angesteuert 
bzw. fur das andere Prozessor-Modul PM bei niedrigem Pe- 
gel frcigcgcbcn (die G-Signalc spcrrcn bei hohem Pcgcl die 
Bausteine ICl und ICS). Entsprechend dem Status des Si- 
gnals KOPPLERAUS WA HL hat entweder das Prozessor- 
Modul(PM)-Main oder -Redundant mit den Leitungeh be- 



zeichnet als Steuersignale mil Anzahl m die Buskontrollc. 
wobei beidc Prozessor- Module PM nicht gleichzeitig Bus- 
zugriff haben. Dies wird durch das Prozessor-Modul- interne 
Signal Testmode bei gleichzeitigem Betrieb zweier Pro/es- 
5 sor-Module PM verhindert (ein Prozessor-Modul PM in nor- 
nialer Funkiion, das zweite Prozessor-Modul PM im Test- 
mode). Uber das Signal GATE_1 steuert das akuve Prozes- 
sor-Modul PM den n Bit breiten ADRESSEN_DATEN-Bus 
zu dem Local-Bus. Die doppelte Trennung des Prozesor- 
to Modul(PM)-Datenbusses mit IC2 ist notwendig, urn im Fall 
des Kurzschlusses eines Buskopplers auf dem Prozessor- 
Modul(PM)-Datenbus noch den vollen Spannungshub zu 
haben. Bei einer direkten Verbindung der Buskoppler hintcr 
R2 ergabe sich nur mehr der halbe Spannungshub beim Le- 
ts sen der Daten. Uber Dl wird eine Riickspeisung der Versor- 
gungsspannungen verhindert. Der Baustein IC4 ermoglicht 
die zeitlich versetzte Ubertragung (Muitiplexbeuieb) des 
ADRESSEN_DATEN- Busses. Die Bausteine IC6 bis IC9, 
R9 bis R15 und Tl dienen der Interruptbearbeitung. Uber 
20 die Stichleitungen SELEKT_A_B_X werden die heiB-red- 
undanten Module adressiert, die Entkopplung erfolgt hier 
uber die Serienwiderstande x*R16, wobei x die Zahl der 
heiB- redundanten Module ist. 

Die Fig. 5 und 6 zeigen den Aufbau des Kopplers fur ein 
25 heiB- bzw. kallredundantes Modul. Auch hier ist die Anbin- 
dung nur eines Kopplers gezeigt. 

Die Details der Anbindung eines heiB-redundanten Mo- 
duls sind in Fig. 5 dargestellt. Die Erkennung des aktiven 
Busses erfolgt mit dem Signal KOPPLER_ A KTTV. Dieses 
30 Signal ist mittels der Transistoren T21 sowie den Widerstan- 
den R35 bis R37 entkoppelt, was eine Stromeinspeisung in 
ein abgeschaltetes Modul verhindert. Fur ein Slave-Modul 
wiederum ist eine Ruckspeisung in einen nicht aktiven (oder 
defekten) Buskoppler nicht moglich, da sich alle Signale 
35 vom Slave-Modul zu dem nichtbenutzten Buskoppler in der 
Trennlinie n*R21, R23, R29 und R31 auf niedrigem Pegel 
befinden (logical low). Die Widerstande n*R22, R24, R30, 
R32, m*R34 und R37 bewirken einen definierten Pegel auf 
den entsprechenden Leitungen im Falle, daB das* Signal 
40 nicht aktiv ist (bei undefinierten Eingangspegeln von CMOS 
Bauteilen ergibt sich eine unzulassig hone Stromaufnahme). 
Nach der Erkennung des aktiven Local Busses steuert das 
ASIC die entsprechenden GATE_- und DIR_-Signale unter 
Benutzung der vom aktiven Prozessor-Modul PM generier- 
45 ten Bussequenz an. Diese Bussequenz wird uber die STEU- 
ERSIGNALE mittels IC28 dem Slave-Modul mitgeteilt. 
Das IC27 verhindert hier eine Einspeisung in das Slave-Mo- 
dul, wenn dies z. B. bei Fehler abgeschaltet wurde. 

Die Ubertragung der Adressen und Daten erfolgt zur Ein- 
50 sparung von Leitungen hintereinander. Die Modulauswahl 
fur den Datentransfer erfolgt iiber den aktiven Bus mittels 
einer Adressierungsphase. In dieser Phase werden die Infor- 
mationen uber IC21 und IC22 zum ASIC geleitet. Die Mo- 
duladresse wird durch eine Logikschaltung im ASIC er- 
55 kannt und in der darauffolgenden Datenphase werden IC21 
bzw. IC22 entsprechend geschaltet. In Fig. 7 und Fig. 8 ist 
ein solcher Buszyklus (genannt Inter-Module-Bus-Cycle) 
im Detail dargestellt. 

Zur einfachen Anpassung an ein Prozessorsystem wurde 
60 die Breite des ADRESS_DATEN-Busses mil 16 Leitungen 
gewahlt. In der Adressierungsphase ist ein definierter Be- 
reich dieser Leitungen fiir die Moduladresse reserviert, wo- 
bei diese Adresse im Gesamtsystem nur einmal vorkommt, 
d. h. im Main-Zweig und im Redundant-Zweig gibt es keine 
65 gleichen Adressen. Mit dieser Auslcgung ist cs moglich, 
auch bei den kalt-redundanten Modulen beide anzuschalten. 
Damit ergibt sich die Fahigkeit, auch Fehler auf beiden der 
redundanten Module abzufangen, sofem nicht die identische 
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Funktion der Module von den Fehlern beiroffen ist. 

Die heiB-redundanten Module benotigen einen Mechanis- 
mus zum Deaktivieren des Buskopplers. An sons ten ist es 
moglich, riaB im Fehlerfall ein solches Modul alle an ihm 
hangenden Buskoppler aktiv auf Schreiben auf den Local- 5 
Bus schaltet und somit alle Local-Busse blockiert sind. Dies 
wird durch die Schaltung mil R25 bis R28 sowie von IC23 
bis IC26 erreicht. Wenn keine vom aktiven Prozessor-Mo- 
dul (PM) koramende Stichleitung SELEKT_A bzw. SE- 
LEKT_B auf logisch High-Pegel geschaltet ist, wird jede to 
Einwirkung vom Slave-Modul zu einem Local-Bus unter- 
bunden. 

Die Dioden m*D21 verhindem beim moglichen Aus- 
schalten des Slave-Moduls eine unzulassig hohe Spannung 
an den Eingangen des ASIC gegeniiber der Versorgungs- 15 
spannung. 

Interrupts von heiB-redundanten Modulen werden als 
EINZELINTERRUPT zu den Prozcssor-Modulcn PM gc- 
fiihrt. Dies erlaubt eine eindeulige und fehlerfortpflanzungs- 
freie Identification der Interruptquelle. ^ 20 

Die Anbindung eines kalt-redundanten Moduls ist in Fig. 
6 dargestellt. Im Vergleich zu Fig. 5 eines heiB-redundanten 
Moduls ergeben sich zwei wesentliche Unterschiede. Dies 
ist die fehlende Auswahl der Module mit SELEKT-Leilun- 
gen sowie eine andere Interruptverarbeitung. 23 

Die Steuerung des ADRESSEN.DATEN-Busses erfolgt 
iiber GATE_51 und IC53. Hier ist der Baustein IC53 nicht 
aktiv ? wenn das Modul abgeschaltet ist. Die Steuerung des 
aktiven Local-Busses erfolgt wie in Fig. 5 durch das ASIC 
mit der durch das aktive PM-Modul vorgegebenen Sequenz. 30 

Bei den kalt-redundanten Modulen gibt es einen BUSIN- 
TERRUPT. Dieser wird durch das ASIC generiert. Die 
Schaltung nut R68, R69, IC60 und IC61 sorgt hier fur die 
notwendige Entkopplung. Damit verschiedene Inter- 
ruptquellen erkannt werden konnen, wird vom ASIC aus bei 35 
der entsprechenden Bussequenz ein INTERRUPT_VEC- 
TOR_Y auf den ADRESSEN_DATEN-Bus gelegt, der bei 
einem Interrupt uber den Bus ebenfalls eine eindeutige Iden- 
tifikation der Quelle erlaubt. Hierzu konnen die kalt-redun- 
danten Slave-Module verschiedene ADRESSEN_DATEN- 40 
Leitungen verwenden, sowie eine unterschiedliche VEK- 
TOR NUMMER ist selektierbar iiber y*R59. 

Patentanspriiche 

45 

1 . Vorrichtung zur Kopplung von redundanten elektro- 
nischen Schaltungen, mit: 

jeweils einem Local-Bus fUr einen Main- (M) und ei- 
nen Redundant- (R) Zweig und 

Main-Modulen (I/F(M), PM(M), SGM(M), RM(M), so 
HPC2(M)) und deren Stromversorgungen (CV(M)) so- 
wie entsprechenden Redundant-Modulen (I/F(R), 
PM(R), SGM(R), RM(R), HPC2(R)) und deren Strom- 
versorgungen (CV(R)) fur die jeweiligen redundanten 
elektronischen Schaltungen, wobei 55 
alle Module der redundanten elektronischen Schaltun- 
gen iiber die Busse untereinander kommunizieren kon- 
nen, 

bei einem Ausfall eines Moduls das jeweilige redun- 
dante Modul seine Funktion ubernimmt, die anderen, 60 
nicht ausgefallenen Module des Zweigs eingeschaltet 
und 

Signalleitungen vom Modul zu den Bussen durch Bu- 
skoppler entkoppelt sind. 

2. Vorrichtung nach Anspruch 1, wobci jedes Modul 65 
bzw. bei Neubildungs/Sicherungs-Speicher-Modulen 
(RM/SGM) jede Modulgruppe und die Local-Busse 
eine eigene Stromversorgung (CV-Module) aufweisen. 
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3. Vorrichtung nach Anspruch 1 oder 2. wobei bei ei- 
nem Master-Modul die beiden Local-Busse fur den 
Main- und den Redundant-Zwcig mit separaten Strom- 
versorgungen (A, R) des momentan aktiven Prozessor- 
Modules (PM) gespeist werden, wobei iiber Dioden 
eine Ruckversorgung der Stromversorgungen ausge- 
schlossen ist. 

4. Vorrichtung nach einem der Anspriiche 1 bis 3, wo- 
bei das jeweilige aktive Bussystem mittels eines ent- 
koppeiten Busauswahlsignals (KOPPLER_AKTTV) 
erkannt wird. 

5. Vorrichtung nach Anspruch 4. wobei die Entkopp- 
lung des Busauswahlssignals (KOPPLER_ AKTIV) 
mittels eines Transistors (T21; T51) sowie Widerstan- 
den (R35 bis R37; R65 bis R67;) erfolgt. 

6. Vorrichtung nach einem der Anspriiche 1 bis 5, wo- 
bei bei Ausfall der Busauswahlsignale (SELEKT_A, 
SELEKT_B) jede Einwirkung vom Slavc-Modul zu ei- 
nem Local-Bus unterbunden ist. 

7. Vorrichtung nach einem der Anspriiche 1 bis 6. wo- 
bei die Module heiB- redundant sein konnen, wobei die 
Versorgungsspannung immer aniiegt, oder kalt-redun- 
dant sein konnen, wobei nur ein Modul desseiben Typs 
aktiv ist. 

8. Vorrichtung nach Anspruch 5, wobei heiB-rcdun- 
dante Module Sicherungs-Speicher- Module (SGM) 
sind, in die die aktuellen Systemdaten redundant abge- 
legt werden konnen. 

9. Vorrichtung nach Anspruch 5, wobei bei den kalt- 
redundanten Modulen im Fehlerfall das zuvor aktive 
Modul ausgeschaltet und das andere typgleiche Modul 
eingeschaltet wird. 

10. Vorrichtung nach einem der Anspriiche 1 bis 5, 
wobei bei kalt-redundanten Modulen beide redundan- 
ten Module eingeschaltet werden konnen, um Fehler 
auf beiden redundanten Modulen abzufangen, solange 
nicht die identische Funktion fehierhaft ist. 

11. Verfahren zur Kopplung von redundanten elektro- 
nischen Schaltungen, mit den Schritten: 

Verbinden aller Module der redundanten elektroni- 
schen Schaltungen mit einem Local Bus Main (M) so- 
wie einem Local Bus Redundant (R), so daB alle Mo- 
dule uber die Busse untereinander kommunizieren kon- 
nen, Entkoppeln der Signalleitungen von den Modulen 
zu den Bussen und Erkennen einer Fehlfunktion eines 
Moduls und Ubernehmen der Funktion dieses Moduls 
durch das jeweilige redundante Modul, wobei die an- 
deren nicht ausgefallenen Module des Zweigs einge- 
schaltet bleiben. 

12. Verfahren nach Anspruch 11, mit dem weiteren 
Schritt Versorgen jedes Moduls bzw. jeder Modul- 
gruppe uber eine eigene Stromversorgung (CV-Mo- 
dule). 

13. Verfahren nach Anspruch 11 oder 12, mit dem wei- 
teren Schritt AusschlieBen einer Riickspeisung der Ver- 
sorgungsspannungen (A, B) des Local Bus Main (M) 
bzw. Redundant (R) bei einem KurzschtuB in den 
Stromversorgungen des Local Bus Main (M) bzw. Red- 
undant (R). 

14. Verfahren nach einem der Anspriiche 11 bis 13, 
mit dem weiteren Schritt Erkennen des jeweiligen akti- 
ven Bussystems mittels eines entkoppelten Busaus- 
wahlsignals (KOPPLER.AKTIV). 

15. Verfahren nach einem der Anspriiche 11 bis 14, 
mit dem weiteren Schritt automatisches Ruckfallcn bei 
Ausfall der Busauswahlsignale (SELEKT_A, SE- 
LEKT_B). wobei in diesem Fall alle Main-Module 
sich auf den Local Bus Main (M) und alle redundanten 
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Module sich auf den Local Bus Redundant (R) auf- 
schalten. 
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